HashiCorp Vault: cos'è e quando ha senso usarlo per i secrets?

HashiCorp Vault è il gestore centralizzato dei secrets: le applicazioni chiedono le credenziali via API, ogni accesso è tracciato e governato da policy. Il punto di forza sono i dynamic secrets: invece di una password statica del database, Vault ne genera una nuova a scadenza per ogni richiesta, riducendo il danno di un leak. Ha senso con molti servizi, team e rotazioni da automatizzare; per un homelab o un singolo server è quasi sempre overkill – bastano le tecniche viste in come gestire i secrets, tipo sops o le secret di Docker. Nota di licenza: dal 2023 Vault è BUSL (e HashiCorp è di IBM); il fork open source è OpenBao. La trappola: a ogni riavvio Vault parte sealed e va sbloccato con vault operator unseal – senza auto-unseal, un reboot notturno lascia le app senza credenziali.